Lambda使用Paramiko SSH Client连接同子网EC2报错求助

问题概述 #

使用paramiko.SSHClient()编写的Lambda函数，连接同账号、同VPC、同子网内的EC2实例（采用用户名密码认证，无密钥），本地运行正常，但部署后出现OSError: [Errno 16] Device or resource busy，栈跟踪指向socket.getaddrinfo。更换虚假服务器地址仍报相同错误，排除网络连接问题；改用底层socket连接时，出现[Errno -2] Name or service not known错误。

核心原因分析 #

这类错误本质是Lambda执行环境的系统资源限制或DNS解析异常：

• socket.getaddrinfo报设备忙，说明Lambda环境中DNS解析相关的socket资源被占用或受限，和目标EC2的网络连通性无关
• 底层socket的名称解析错误，进一步验证了Lambda环境下DNS解析存在问题

可行的解决方向 #

1. 绕开DNS解析，直接使用EC2私有IP #

同VPC子网内的EC2实例可通过私有IP直接访问，无需DNS解析，能彻底规避socket.getaddrinfo的调用问题：

• 修改代码，将EC2的主机名/域名替换为其私有IP地址
• 示例代码片段：

  import paramiko
  
  ssh = paramiko.SSHClient()
  ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())
  # 用私有IP替换原主机名
  ssh.connect('10.0.1.10', username='admin', password='your_password')
  

2. 确保Paramiko依赖与Lambda环境兼容 #

Lambda的运行环境（如Amazon Linux 2）和本地环境可能存在差异，导致依赖的二进制文件不兼容：

• 在与Lambda运行环境一致的系统中打包依赖：比如使用Amazon Linux 2容器镜像编译Paramiko，再将打包后的依赖上传到Lambda
• 测试不同版本的Paramiko：尝试降级到2.7.x版本或升级到最新稳定版，排查版本兼容性问题

3. 检查Lambda的VPC网络配置 #

即使安全组和出站规则正常，仍需确认：

• 关联的子网有足够的可用IP地址，Lambda能成功分配弹性网络接口（ENI）
• 子网的路由表配置正确，确保VPC内的DNS解析请求能正常转发（若使用自定义DNS，需保证DNS服务器在VPC内可达）
• 确认Lambda执行角色拥有ec2:DescribeNetworkInterfaces权限，用于分配ENI

4. 验证Lambda环境的DNS解析能力 #

在Lambda函数中添加简单的DNS测试代码，确认解析是否正常：

import socket

def lambda_handler(event, context):
    try:
        ip = socket.gethostbyname('your-ec2-hostname')
        return {'statusCode': 200, 'body': f'Resolved IP: {ip}'}
    except Exception as e:
        return {'statusCode': 500, 'body': f'DNS error: {str(e)}'}

如果测试失败，说明Lambda的DNS配置存在问题，需检查VPC的DHCP选项集是否正确配置了DNS服务器（默认是VPC的DNS服务器，地址为VPC网段+2）

验证步骤 #

1. 优先用私有IP替换主机名测试，确认是否能正常连接
2. 运行DNS测试代码，排查解析问题
3. 重新打包兼容Lambda环境的Paramiko依赖测试

内容的提问来源于stack exchange，提问作者Daniel Marsola